Rocky Linux / Port SSH, Wi-Fi, mots de passe et installation en mode texte

Pour changer le port SSH (Secure Shell) sous Rocky Linux, coordonnez la configuration de SELinux (Security-Enhanced Linux), du pare-feu et du serveur sshd, puis vérifiez une nouvelle connexion avant de fermer la session actuelle. Ces notes couvrent la préservation de l'accès, les outils Wi-Fi, la politique de qualité des mots de passe et l'installation en mode texte comme tâches administratives distinctes. Pour les conditions et procédures connexes, voir encadrer la connexion SSH de root sous Rocky Linux (en anglais). Pour les conditions et procédures connexes, voir configurer les modes SELinux sous Rocky Linux (en anglais). Pour les conditions et procédures connexes, voir gérer firewalld sous Rocky Linux : zones, services et ports (en anglais).

Préparer l'accès avant de changer le port SSH

cat /etc/rocky-release
sudo sshd -T | grep -E "^(port|listenaddress) "
sudo firewall-cmd --get-active-zones
getenforce

Gardez la session SSH actuelle ouverte, vérifiez l’accès à la console et sauvegardez les fichiers de configuration de sshd. Assurez-vous que le port d’exemple 50022 est libre. Remplacez la zone d’exemple public par celle qui contrôle réellement l’interface ou l’adresse source. Si firewalld n’est pas utilisé, examinez le pare-feu actif ainsi que les règles du fournisseur cloud.

Préparer les autorisations SELinux et le pare-feu

sudo semanage port -l | grep "^ssh_port_t"
sudo ss -lntp

Si semanage manque, vérifiez le paquet policycoreutils-python-utils. Utilisez la commande d’ajout suivante seulement si SELinux est activé et si le port 50022 n’est pas déjà associé à un type. S’il appartient à un autre type, examinez le service concerné avant d’envisager une réaffectation.

sudo semanage port -a -t ssh_port_t -p tcp 50022
sudo firewall-cmd --zone=public --add-port=50022/tcp

Ne supprimez pas encore l’ancienne autorisation SSH. Si l’accès d’administration est limité à certaines adresses sources, conservez cette restriction sur le nouveau port au lieu de l’ouvrir largement.

Appliquer les paramètres de sshd et tester une nouvelle connexion

Port 50022

Modifiez la directive globale Port dans la configuration effective de sshd, en tenant compte des fichiers inclus et de la priorité des directives. Ajouter une deuxième valeur en fin de fichier ne garantit pas qu’elle remplacera la première valeur retenue.

sudo sshd -t && sudo systemctl reload sshd
sudo ss -lntp

Depuis un autre terminal, essayez ssh -p 50022 user@server avec votre compte et votre serveur, puis vérifiez les opérations sudo nécessaires. Une fois ce test réussi, ajoutez l’autorisation à la configuration permanente et contrôlez les règles actives ainsi que les règles permanentes. Ne retirez l’ancienne règle qu’après avoir validé le nouvel accès et la procédure de secours.

sudo firewall-cmd --permanent --zone=public --add-port=50022/tcp
sudo firewall-cmd --zone=public --list-ports
sudo firewall-cmd --permanent --zone=public --list-ports

Si la nouvelle connexion échoue, restaurez les paramètres SSH modifiés depuis la session existante ou la console, validez-les avec sshd -t, puis rechargez le service. Vérifiez l’accès sur le port initial avant de supprimer uniquement les entrées du pare-feu et de SELinux ajoutées pour cette intervention. Ne supprimez pas d’autres règles actives et ne les rendez pas permanentes par inadvertance.

Le manuel de configuration d’OpenSSH détaille la portée et la priorité des directives.

Préparer les outils Wi-Fi

nmcli device status
rpm -q NetworkManager-wifi
sudo dnf install NetworkManager-wifi

Vérifiez aussi le périphérique, son pilote, le micrologiciel, un éventuel blocage radio et le profil de connexion. Installer ce paquet dans une machine virtuelle ne lui ajoute pas de matériel Wi-Fi physique. Prévoyez un accès de secours par console avant de modifier la connexion réseau active d’un serveur distant.

Inspecter et ajuster la politique de qualité des mots de passe

authselect current
sudo grep -R "pam_pwquality" /etc/pam.d/
sudo grep -R -E "^[[:space:]]*(minlen|enforcing|enforce_for_root)" /etc/security/pwquality.conf /etc/security/pwquality.conf.d/ 2>/dev/null

Vérifiez d’abord que les règles PAM actives utilisent pwquality.conf et ses fichiers complémentaires. PAM est le mécanisme modulaire d’authentification du système. Consultez man pwquality.conf pour connaître le sens des options de la version installée, sauvegardez la configuration, puis modifiez-la. Une ligne commentée n’est pas active. La valeur minlen, combinée aux crédits accordés aux différentes classes de caractères, ne correspond pas nécessairement à un simple nombre minimal de caractères. Ne remplacez pas les fichiers PAM gérés par authselect.

Ces contrôles s’appliquent normalement lors de la définition ou du changement d’un mot de passe ; modifier la politique ne renouvelle pas automatiquement les mots de passe existants. Avec un compte de test distinct, vérifiez qu’un mot de passe conforme est accepté et qu’un mot de passe insuffisant est refusé. Si le résultat est incorrect, restaurez seulement les paramètres modifiés et recommencez les essais. Examinez enforce_for_root et la configuration PAM effective pour déterminer les contrôles appliqués à root.

Installer en mode texte : lire les options réelles

Les schémas ci-dessous expliquent une séquence de démarrage UEFI avec GRUB pour Rocky Linux 10.1. Les écrans et les touches peuvent varier selon l’image et le micrologiciel. Sur un démarrage BIOS, suivez les indications d’édition affichées par le média. Avant toute modification du stockage, identifiez le disque, sa capacité et les données à conserver.

1. Sélectionnez l’entrée d’installation dans GRUB, appuyez sur e et repérez la ligne du noyau.

2. Ajoutez inst.text à la fin de cette ligne, puis démarrez avec Ctrl+X ou F10, selon les indications de votre environnement.

3. Si un choix de mode apparaît, lisez les options et sélectionnez le mode texte. Un numéro tel que 2 n’est pas valable pour toutes les images.

4. Vérifiez le disque cible et les réglages proposés avant de démarrer l’installation. Le mode texte peut proposer moins d’options que le mode graphique : confirmez que le stockage et le chiffrement nécessaires sont pris en charge.

Le guide officiel d’installation de Rocky Linux décrit les vérifications du support et du disque cible. Pour distinguer les règles temporaires et permanentes du pare-feu, consultez la documentation firewalld sur l’ouverture d’un port.